Suchergebnisse

• eBook-Kapitel aus dem Buch Prüfungsleitfaden BAIT

  Risikoorientierte Prüfungsplanung

  Axel Becker

  …Berücksichtigung in der Pla- nung hinterfragt werden. Risikobewusstsein schärfen Ein zentrales Ziel der BAIT ist, das Risikobewusstsein in den einzelnen Insti-… …Mängeln entstehen, die das IT-Management bzw. die IT-Steuerung, die Ver- fügbarkeit, Vertraulichkeit, Integrität und Authentizität der Daten, das in- terne… …Das Risikobewusstsein sollte sich auch in den Prüfungspla- nungen der Internen Revisionen widerspiegeln. Risikoorientierte Planung Dabei ist es… …auch alle nichtbankfachlichen Prozesse in den Instituten dar.17) Aufgrund dieser enormen Bedeutung hat das Thema IT in jeder risikoorientieren… …Prüfungspla- nung einen wichtigen Stellenwert einzunehmen. Das Prüfungsuniversum ist 14) Vgl. BaFin: IT-Sicherheit: Aufsicht konkretisiert Anforderungen an die… …Revisionsobjekte vollständig in das Prüfungsuniversum aufgenommen werden. Denn die dort enthaltenen Akti- vitäten und Prozesse sind einem fortlaufenden… …. Wichtig ist auch, dass die Interne Revision eines KRITIS-Betreibers auch das Prüffeld KRITIS mit in die risikoorientier- te Prüfungslandkarte integriert… …Anforderungen der BAIT lückenlos abgedeckt? • Sind die Internen Revisoren im Hinblick auf die BAIT ausreichend ge- schult? • Wurde die Interne Revision in das…

  Alle Treffer im Inhalt anzeigen
• eBook-Kapitel aus dem Buch Prüfungsleitfaden BAIT

  Auslagerungen und sonstiger Fremdbezug von IT-Dienstleistungen

  Axel Becker

  …Outsourcing. Risikobewertung Art und Umfang einer Risikobewertung kann das Institut unter Proportiona- litätsgesichtspunkten nach Maßgabe seines allgemeinen… …. Die für die Informationssicherheit und das Notfallmanagement verantwortli- chen Funktionen des Instituts werden eingebunden.98) 9.1… …(Cloud-Dienstleis- tungen). Das Institut hat auch beim sonstigen Fremdbezug von IT-Dienst- leistungen die allgemeinen Anforderungen an die Ordnungsmäßigkeit der… …angemessen zu bewerten (vgl. AT 7.2 Tz. 4 Satz 2 MaRisk). 9.2 Wegen der grundlegenden Bedeutung der IT für das Institut ist auch für jeden sonstigen… …IT-Sicherheitsbeauftragten an den IT-Dienstleister basieren auf keiner vertraglichen Grundlage. • Das Institut hat mehrere Fremddienstleistungsbezüge nicht als Auslage- rung… …im aufsichtlichen Sinne identifiziert und folglich nicht als solche be- handelt. • Das Institut enthält vonseiten des externen Dienstleisters keine… …12 – 01/2018, Heidelberg 2018, S. 232. Nr. Revisionsseitige Fragestellungen Erfüllt 1 Hat das Institut sichergestellt, dass bei Auslagerungen von… …erfolgen (Cloud-Dienstleistungen), die Anforderungen nach AT 9 MaRisk? 7 Beachtet das Institut hat auch beim sonstigen Fremd- bezug von IT-Dienstleistungen… …geschuldeten Leistung beim sonstigen Fremdbezug von IT-Dienstleis- tungen entsprechend der Risikobewertung überwacht? 12 Hält das Institut dabei eine… …Verträgen des sonstigen Fremdbe- zugs von IT-Dienstleistungen (Vertragsportfolio)? 14 Hat das Institut die aus der Risikobewertung zum sons- tigen Fremdbezug…

  Alle Treffer im Inhalt anzeigen
• eBook-Kapitel aus dem Buch Prüfungsleitfaden BAIT

  IT-Governance

  Axel Becker

  …das Infor- mationsrisiko und das Informationssicherheitsmanagement, der IT-Betrieb und die Anwendungsentwicklung angemessen mit Personal ausgestattet… …sind. Dies ist aus Sicht der Aufsicht wichtig, damit das Risiko einer qualitati- ven oder quantitativen Unterausstattung dieser Bereiche frühzeitig… …Prozesse zeitnah angepasst werden. Es ist sicherzustellen, dass diese Regelungen wirksam umgesetzt werden. 2.3 Das Institut hat insbesondere das… …Informationsrisikomanagement, das In- formationssicherheitsmanagement, den IT-Betrieb und die Anwendungs- entwicklung quantitativ und qualitativ angemessen mit Ressourcen aus-… …Der Internen Revision kommt die Aufgabe zu, im Rahmen von Prüfungen das Vorhandensein und die Funktionsweise der IT-Governance zu prüfen. Hierbei ist… …zur Qualität der technisch-organisatorischen Ausstattung. Bei der Um- setzung des Grundsatzes der IT-Governance orientiert sich das Institut an den… …. IT-Governance 31 Angemessene quantitative und qualitative Personalausstattung Weiterhin sorgt das Institut dafür, dass das Informationsrisikomanagement, das… …ist es das Ziel, eine ange- messene technisch-organisatorische Ausstattung für die Mitarbeiter des Ins- tituts bereitzuhalten. Vorgaben zur quantitativ… …qualifiziertes Personal am Markt akquiriert. Weiterhin bildet das Institut Nachwuchskräfte aus. • Das Institut hat im Rahmen der Aus- und Weiterbildung die… …IT-Sicherheit durchgeführt. Hierfür hat das Institut ausreichend Budgets sowie Schulungs- und Fortbildungszeiten zur Verfügung (vgl. Ausführungen in der…

  Alle Treffer im Inhalt anzeigen
• eBook-Kapitel aus dem Buch Prüfungsleitfaden BAIT

  IT-Betrieb

  Axel Becker

  …Geschäftsstrategie und IT-Strategie sein. 90) Vgl. Erläuterungen zu 8.2 BAIT. 8.3 Das Portfolio aus IT-Systemen bedarf der Steuerung. IT-Systeme sollten regelmäßig… …aus der ITIL und hat das Ziel, standardisierte Methoden und Verfahren zur Durchführung von Änderungen an IT-Systemen zu definieren… …Informations- grundlage für das Change-Management ist die CMDB. In den Erläuterungen zu 8.5 werden einige Handlungsempfehlungen für eine sichere Umsetzung von… …IT-Systeme (insbesondere auch das Netzwerk und die vor- und nachgelagerten IT-Systeme), auch im Hinblick auf mögliche Sicherheits- oder Kompatibilitätsprobleme… …Änderungen oder der nachgelagerten Kontrolle).92) In 8.6 der BAIT werden die Anforderungen an das Incident-Management (Störungsmanagement) konkretisiert… …auch die Angemessenheit der Bewertung und Priorisierung, ist zu überwachen und zu steuern. Das Institut hat geeignete Kriterien für die Information der… …dauerhaft sichere Datenlagerung geeignet sind. Für die Nutzung von Da- tensicherung in Form von Cloudlösungen ist auf das Merkblatt der BaFin so- wie die… …umfasst, die bzw. der kein Cloud-Anbieter ist, aber in erheblichem Maße auf einen Cloud-Anbieter zurückgreift, um eine Funkti- on wahrzunehmen, die das… …die hierzu erfassten Bestandsangaben re- gelmäßig sowie anlassbezogen aktualisiert werden? 3 Führt das Institut folgende Bestandsangaben: • Bestand und… …. nicht mehr vom Hersteller unterstützten IT-Systemen berücksich- tigt (Lebenszyklus-Management)? 7 Hat das Institut die Prozesse zur Änderung von IT-Sys-…

  Alle Treffer im Inhalt anzeigen
• eBook-Kapitel aus dem Buch Prüfungsleitfaden BAIT

  IT-Projekte, Anwendungsentwicklung

  Axel Becker

  …wesentlichen Veränderungen in der Aufbau- und Ablauforganisation so- wie in den IT-Systemen hat das Institut die Auswirkungen der geplanten Ver- änderungen auf… …verlegt. Bei- spiele für Vorgehensmodelle in der Softwareentwicklung sind das V-Modell68) und Scrum.69) Beispielsweise kann die Entscheidung über den… …(https://de.wikipedia.org/wiki/V-Modell). 69) Vgl. Wikipedia Artikel „Scrum“ (https://de.wikipedia.org/wiki/Scrum). 7.4 Das Portfolio der IT-Projekte ist angemessen zu überwachen und zu… …• Wie werden Projektrisiken im Risikomanagement berücksichtigt? In den Abschnitten 7.6 bis 7.7 der BAIT wird das Thema Anwendungsent- wicklung… …ermittelt werden. 7.11 Es ist eine Methodik für das Testen von Anwendungen vor ihrem erstma- ligen Einsatz und nach wesentlichen Änderungen zu definieren… …Prüfungen der Internen Revision in Fachbereichen sollte das Thema IDV ebenfalls immer ein fester Bestandteil sein. Dabei sind die wesentlichen IDV-… …Anwendungsentwicklungsprozesses zu erstellen- den Fach- und DV-Konzepte hat das Institut keinerlei Mindeststandards definiert. • Das Kontrollsystem war unvollständig; es wurden… …Veränderungen von IT-Systemen die Anfor- derungen des AT 7.2 erfüllt? 3 Hat das Institut die organisatorischen Grundlagen für IT-Projekte und die Kriterien für… …jeweiligen Vorgehensmo- dells gekoppelt? 7 Wird das Portfolio der IT-Projekte angemessen über- wacht und gesteuert? 8 Wird dabei berücksichtigt, dass auch… …, Verfügbarkeit und Authentizität der zu verarbeitenden Daten nachvoll- ziehbar sichergestellt werden? 21 Hat das Institut hierfür geeignete Vorkehrungen getrof-…

  Alle Treffer im Inhalt anzeigen
• eBook-Kapitel aus dem Buch Prüfungsleitfaden BAIT

  MaRisk AT 7.2: Technisch-organisatorische Ausstattung

  Axel Becker

  …berücksichtigt das Proportionalitätsprinzip bei der Umset- zung der MaRisk. Hierbei müssen kleine Institute nicht die umfangreiche In- frastruktur bereithalten wie… …. Das Abstellen auf gängige Standards zielt nicht auf die Verwendung von Standardhardware bzw. -software ab. Eigenentwicklungen sind grund- sätzlich… …Standards abgestellt? 4 Hat das Institut Prozesse für eine angemessene Berech- tigungsverwaltung eingerichtet, die sicherstellen, dass jeder Mitarbeiter nur… …und technisch zu- ständigen Mitarbeitern überprüft? 6 Hat das Institut gewährleistet, dass die IT-Systeme vor ihrem erstmaligen Einsatz und nach… …Regelprozess der Entwicklung, des Testens, der Freigabe und der Implementierung in die Produktionsprozesse etabliert? 8 Hat das Institut hierbei die… …: Checkliste MaRisk technisch-organisatorische Ausstattung 11 Hat das Institut die mit dem Bezug von Software verbun- denen Risiken angemessen bewertet? 12…

  Alle Treffer im Inhalt anzeigen